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PROCEDE POUR EFFECTUER UN CONTROLE DE SECUR1TE PES FLUX 
DE DONNEES ECHANGEES ENTRE UN MODULE ET UN RESEAU DE 
COMMUNICATION. ET MODULE DE COMMUNICATION 



La pr£sente invention conceme les systemes de communication, et en 
5 particulier les modules de communication. 

L'invention trouve application dans le domaine des systemes de 
communication dans lesquels un service d'echange de donn6es est fourni. Elle 
s'applique en outre particulierement bien a des systemes de 
radiocommunication qui offrent un service d'6changes de donnees tels que le 
10 GPRS (« General Packet Radio Service ») ou TUMTS ("Universal Mobile 
Telecommunication System"), et de preference dans les terminaux de 
radiocommunications de ces systemes. 

Les reseaux IP (« Internet Protocol ») ou X.25 sont des exemples de 
reseaux d'echange de paquets, commun£ment appeles reseaux PDN (de 

15 I'anglais « packet data network »). Chaque element de reseau d'un reseau de 
paquet est usuellement muni d'un controleur de transmission et de reception 
de paquets ^changes conform6ment a un protocole d'echange de paquets 
(PDP, ou « packet data protocol ») donn6. II est frequent de doter le contrfileur 
de certains Elements de reseau d'un systeme dit garde-barriere, ou pare-feu 

20 (en anglais « firewall »), dont la fonction est de proteger I'element de reseau 
par le biais d'un controle sur les flux de paquets transmis ou regus par 
rei6ment de reseau. Le systeme pare-feu filtre les paquets en reception, et 
contrdle aussi remission des paquets en transmission. Ce systeme est 
fr6quemment implements dans un module logiciel qui coop£re avec le 

25 controleur de transmission et de reception des paquets. 

L'article « Network Firewalls », publie en septembre 1994 par S.M. 
Bellovin et W. R. Cheswick dans le magazine « IEEE Communications 
Magazine » fournit une description detaill6e des pare-feux et des technologies 
afferentes. 

30 La structure classique d'un pare-feu est illustr6e a la figure 1. Deux 

filtres 1,2 entourent une ou plusieurs passerelles 3. Chaque filtre 1,2 a pour 
fonction d'analyser et de controler de manfere unidirectionnelle ou 

COPIE DE CONFIRMATION 



WO 2005/048555 



-2- 



PCT/EP2004/012532 



bidirectionnelle les flux de paquets 6chang§s sur !es liens 4 et 5. Un filtre est 
ainsi amen6 £ rejeter un paquet, le laisser passer ou bien I'ignorer, et ce sur la 
base de entires de filtrage. La passerelle ou le groupe de passerelles 3 a pour 
fonction d'exercer un controle applicatif sur les flux de donn6es que le filtre 
5 plac6 en amont laisse passer. Les regies de controle et entires de filtrage sont 
definis et configurabies au moyen d'un module 6 de configuration relte d 
chacun des composants 1 f 2, 3 du pare-feu. : 

Les criteres de filtrage peuvent par exemple, de mantere connue en 
soi, etre definis sur la base de Tadresse source ou de destination, ou bien du 

10 service source ou destination des paquets a filtrer. Dans le cas d'un pare-feu 
operant sur des paquets TCP/IP ou UDP/IP, il peut s'agir de l'adresse IP 
source ou de destination d'un datagramme, ou bien du port UDP ou TCP 
source ou de destination d'un paquet UDP ou TCP. Ainsi, un filtre 1 , 2 peut etre 
configure de maniere a ne laisser passer que les paquets TCP a destination 

15 : d'un numero de port donne, correspondent a un service determine. 

La passerelle ou le groupe de passerelles 3 effectue un controle 
relativement £ un ou plusieurs criteres relatrfs a une application donn6e. Un 
exemple typique consiste, dans le cas d'une application d'echange de coiirriers 
electroniques, en un filtrage applicatif des courriers echanges sur la base par 
20 exemple d'informations qui sont reperees dans Ten-tete ou le corps d'un 
message de courrier. 

En general, le filtre 1 est bidirectionnel et configure de maniere a 
proteger les 6quipements en aval, parmi lesquels se trouvent les passerelles 3, 
le filtre 2 et les equipements reltes au lien 5, et agit sur les flux de donn§es 
25 echang6s sur le lien 4. Le filtre 2, lui aussi bidirectionnel, foumit un rempart 
supplementaire pour prot6ger les 6quipements reli6s au lien 5. 

Bien souvent des nceuds de reseau tels que des passerelles, des 
routeurs, ou des ponts sont dotes d'un pare-feu. Cela permet notamment 
d'isoler un reseau prive (par exemple un r6seau d'entreprise, ou un intranet) 
30 d'un r§seau public (typiquement le reseau Internet) auquel il est reli§. Les pare- 
feux sont ainsi largement utilises dans le contexte des reseaux interconnectes. 
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lis le sont aussi dans celui des ordinateurs personnels dotes des moyens 
logiciels et materiels pour se connecter au r6seau Internet, directement ou par 
rinterm6diaire d'un foumisseur de service Internet (en anglais ISP, pour 
« Internet Service Provider »). Un usager peut ainsi doter son ordinateur 
5 personnel d'un logiciel pare-feu afin de le proteger lors des connexions au 
r&seau Internet. 

De fait, il peut Stre envisage de doter tout systeme capable d'echanger 
des donnees avec un reseau de communication de donn6es d'un pare-feu tel 
que celui decrit a la figure 1. C'est ce qui est fait dans la demande 
10 international WO 03/017705, qui divulgue ^integration d'une plurality 
duplications logicielles au sein d'un terminal de radiocommunication, parmi 
lesquelles une application pare-feu qui coopfere avec une unite de filtrage de 
paquets. 

La demande EP 1 094 682 divulgue par ailleurs un telephone mobile 
15 ou une unite d'acces mobile pour communiquer avec un reseau d'echange de 
paquets qui comprend une fonction de securite, assur6e par exemple par une 
passerelle de securite. 

L'utilisation des pare-feux dans le contexte des r6seaux de 
radiocommunications a aussi fait I'objet d'un article, intituI6 « Firewalls for 
20 Security in Wireless Networks » (Murthy et al., Proceedings of the Thirty-First 
Hawaii International Conference on System Sciences, 1998, Volume: 7 , 6-9 
Jan. 1998) dans lequel les auteurs decrivent un systeme dans lequel un pare- 
feu est mis en ceuvre au sein de Infrastructure d'un r6seau de 
radiocommunication. 

25 L'inconv6nient majeur des solutions proposees est qu'elles ne 

permettent pas la mise en ceuvre d'une fonction de s6curit6 au sein d'une 
station mobile adapt6e d la diversity des r6seaux de communication avec 
lesquels une station mobile est aujourd'hui susceptible d'echanger des 
donnees. Elles ne proposent en effet que des fonctions de s6curit6 qui 

30 agissent sans distinction sur I'ensemble des flux de donnees 6chang6s par une 
station mobile. Ce probl§me, qui n'est pas sp6cifique aux systemes de 
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radiocommunications, se pose §galement dans le contexte plus global de la 
mise en oeuvre d'une fonction de s6curite au sein d'un 6quipement de 
communication susceptible d'§changer simultanement des donnees avec des 
r6seaux de communication qui soit adaptee & la diversity des conditions de 
5 s6curite souhaitables tors d'un 6change de donnees avec chacun de ces 
reseaux. 

Le but de la pr§sente invention est de proposer une nouvelle 
architecture optimale de la fonction de securite au sein d'un 6quipement de 
communication ne presentant pas les inconvenients exposes ci-dessus. 

10 L'invention propose ainsi un module de communication comprenant 

des moyens pour echanger des flux de donn6es avec un reseau de 
communication dans le cadre de sessions de communication etablies et 
organisees selon des contextes de session de communication, et des moyens 
de securite pour controler les flux de donrtees 6chang6s. Les moyens de 

15 securite pour controler les flux de donnees echanges sont agences pour operer 
relativement a au moins un parametre attache au contexte de session de 
communication de la session correspondante. 

Les moyens de securite pour controler les flux de donn§es 6chang§s 
selon Tinvention remplissent une fonction de s6curit6, agenc§e au sein d'un 
20 module de communication, qui agit dans le cadre d'une session de 
communication, et ce par le biais du contexte de session de communication 
assocte. Cette solution permet la mise en oeuvre d'une fonction de securite 
dans un cadre plus specifique que celui du simple echange de donnees. 

Selon Tinvention, les moyens de securite pour controler les flux de 
25 donnees 6chang6s peuvent etre agenc6s pour operer relativement 3 un 
identifiant du contexte de session de communication de la session 
correspondante, et/ou & un paramfetre constitutif dudit contexte. Des exemples 
de parametres utilisables dans le cadre de Tinvention sont une adresse qui 
peut §tre celle du module selon Tinvention ou d'un Squipement au sein duquel ii 
30 est incorpor6, la qualite de service associee a I'echange de flux de donnees, ou 
bien I'identifiant d'un r6seau cible. 
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De manfere avantageuse, les moyens pour 6changer des flux de 
donn6es comprennent des moyens pour 6changer des flux de donn§es en 
paquets, et les moyens de securit6 pour controler les flux de donnees sont 
agences pour op6rer sur des donnees en paquets. 

5 Plus sp6cifiquement, les moyens de s6curit6 pour controler les flux de 

donn6es ^changes peuvent etre structures sur la base de la structure classique 
d'un pare-feu d6crite pr6cedemment. lis peuvent ainsi comprendre un filtre 
pour operer par filtrage des flux de donnees relativement £ au moins un 
parametre attache au contexte de session de communication de la session 

10 correspondante. 

Les moyens de securite pour controler les flux de donnees echang§s 
peuvent de maniere alternative, comprendre un premier et un second filtres 
pour op§rer par filtrage des flux de donnees echanges, et une ou plusieurs 
passerelles pour controler les flux de donnees 6chang6es relativement a un ou 
15 plusieurs criteres relatifs a une application donnee, Tun au moins des premier 
et second filtres etant alors agenc§ pour operer relativement a.au moins un 
parametre attachS au contexte de session de communication de la session 
correspondante, 

L'invention trouve une application particulferement avantageuse dans 
20 le domaine des radiocommunications. II est ainsi pr£vu d'integrer le module 
selon l'invention dans un module de radiocommunication, ou un equipement 
d'infrastructure de radiocommunication. De manfere typique, le module de 
radiocommunication sera incorpor6 dans une station mobile. 

Uinvention pr§voit en outre un proced6 pour effectuer un contr6le de 
25 s£curit6 des flux de donnees 6chang§s entre un module de communication et 
un reseau de communication dans des sessions de communication organisees 
selon des contextes de session de communication, dans lequel on etablit une 
session de communication avec un correspondant distant, suivant un contexte 
de session de communication actif, et on controle les flux de donnees 
30 echang6es selon le contexte de session de communication active, relativement 
a au moins un parametre attach6 audit contexte. De maniere avantageuse, ce 
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proc6de sera appliqu6 a des flux de donn§es en paquets. 

Selon I'invention, le controle des flux de donnees echanges peut 
op6rer relativement a un identlfiant du contexte de session de communication 
de la session correspondante, et/ou & un paramfetre constitutif dudit contexte. 

5 On pourra aussi envisager de contrSler les flux de donnees 6chang6es 

selon le contexte de session de communication actif conformdment au precede 
selon Tinvention en filtrant lesdits flux de donn§es au moyen d'un filtre qui 
opere relativement & au moins un parametre attache au contexte de session de 
communication de la session correspondante. 

10 De maniere alternative, I'etape de contrdle des flux de donnees 

6chang6s selon le contexte de session de communication actif pourra etre 
mise en ceuvre en filtrant lesdits flux de donnees au moyen d'un premier et 
d'un second filtres pour filtrer les flux de donnees echanges, et d'une ou 
plusieurs passerelles pour controler les flux de donnees echangees 

15 relativement a un ou plusieurs criteres relatifs a une application donn§e, I'un au 
moins des premier et second filtres §tant agence pour operer relativement a au 
moins un parametre attache au contexte de session de communication de la 
session correspondante. 

L'invention propose enfin un programme d'ordinateur chargeable dans 
20 une memoire associ6e a un processeur, et comprenant des instructions pour la 
mise en ceuvre d'un procede tel que d6fini ci-dessus lors de I'execution dudit 
programme par le processeur, ainsi qu'un support informatique sur lequel est 
enregistr§ ledit programme. 

D'autres particularit6s et avantages de la prSsente invention 
25 apparaTtront dans la description ci-apres d'exemples de realisation non 
limitatifs, en reference aux dessins annexes, dans lesquels: 

- la figure 1 est un schema synoptique de la structure classique d'un pare- 
feu ; 
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- la figure 2 est un sch6ma illustrant un systeme de communication 
comprenant une station mobile incorporant un module selon I'invention ; 
et 

- la figure 3 illustre un exemple d'architecture du module selon I'invention. 

5 L'invention sera dans la suite d6crite dans le cadre non lirnitatif des 

systemes de radiocommunication qui foumissent un exemple particulierement 
pertinent de sa mise en ceuvre. 

La figure 2 illustre la mise en ceuvre de l'invention au sein d'une station 
mobile 21 en communication avec deux rSseaux 24, 25 f dont Tun est un reseau 
10 public et I'autre est un reseau prive. 

Les communications, en particulier les ^changes de donnees, 
s'effectuent par le biais d'un r§seau de radiocommunication, par exemple un 
reseau cellulaire a couverture etendue (PLMN) (« Public Land Mobile 
Network »). Ce PLMN est classiquement divis6 en un cceur de reseau 23, 
15 comprenant des commutateurs interconnects, et un reseau d'acces radio 
(RAN) (« Radio Access Network ») 22 fournissant les liens radio avec les 
stations mobiles 21. 

Dans I'exemple represents, le PLMN est de seconde g6n6ration et de 
type GSM. II incorpore dans ce cas un service de transmission de paquets de 

20 type GPRS (« General Packet Radio Service »). Dans le GSM, le reseau 
d'accds 22, appele BSS (« Base Station Sub-system »), se compose de 
stations de base (BTS) distributes sur la zone de couverture du reseau pour 
communiquer par radio (interface Urn) avec les stations mobiles 21, et de 
contrdleurs de stations de base (BSC) reli§s au coeur de reseau 23 et 

25 supervisant chacune des stations de base a travers des interfaces appelees 
Abis. Les protocoles utilises dans le PLMN GPRS sont d§crits dans les 
specifications techniques GSM 23.060 (version 5.6.0, Release 5, juillet 2003), 
03.64 (version 8.9.0, Release 1999, novembre 2002), 08.16 (version 8.0.1, 
Release 1999, juillet 2002) et 29.061 (version 5.7.0, Release 5, octobre 2003) 

30 publiees par le 3GPP. 
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L'invention est applicable a d'autres types de PLMN, notamment d des 
reseaux de troisieme generation de type UMTS (« Universal Mobile 
Telecommunications System ») ou CDMA 2000. 

Le coeur de reseau dans la norme UMTS comprend deux domaines 
5 distincts correspondant & un d6coupage entre les services a commutation de 
circuit (CS, pour « Circuit Switched ») et ceux & commutation de paquets 
(« PS, pour « Packet Switched »). On distingue ainsi le domaine PS (« Packet 
Switched Domain ») du domaine CS (« Circuit Switched Domain »). Certaines 
fonctions, comme notamment I'etablissement d'appel, sont ainsi ger6es 
10 differemment, et r6alisees dans des equipements du coeur de reseau differents 
selon qu'elles sont realisees dans Tun ou I'autre de ces deux domaines. 

Le coeur de reseau 23 est relie au reseau d'acces radio 22 au moyen 
d'une interface, appelee interface A, Gb pour le GSM, et lu f pour TUMTS. 

Le cceur de r6seau 23 est en outre relte a des reseaux fixes 
15 comportant un ou plusieurs reseaux de transmission de donn6es en paquets 
utilisant des protocoles respectifs (PDP) tels que X.25 ou IP. Dans I'exemple 
illustr6 par les dessins, il y a un reseau public de transmission de paquets 25 
constitue par le reseau Internet, et un r6seau prive de transmission de paquets 
24 constituS par un r6seau Intranet. 

20 Le cceur de reseau 23 comporte pour le mode paquets des 

commutateurs appeles GSN (« GPRS Support Node »), qui communiquent 
entre eux £ travers une interface appelee Gn. Les commutateurs de paquets 
reltes aux BSC du r6seau d'acces 22 sont appeles SGSN (« Serving GSN »), 
tandis que d'autres commutateurs de paquets, appeles GGSN (« Gateway 

25 GSN »), servent de passerelle avec les reseaux de paquets, notamment le 
r6seau Internet 25 et le reseau Intranet 24. Ces passerelles sont reli6es aux 
SGSN pour permettre aux stations mobiles 21 d'acc6der aux reseaux 24, 25. 

La procedure d'6tablissement d'appel dans le domaine PS de I'UMTS 
ou dans le r6seau de commutation de paquets GPRS fait intervenir la notion de 
30 contexte PDP. Un contexte PDP est un exemple particulier de contexte de 
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session de communication, que Ton peut d6finir comme un ensemble 
d'informations relatives a une session de communication. 

La notion de contexte PDP est decrite au paragraphe 7.2.1 de 
I'ouvrage de r6f6rence de P. Lescuyer : « UMTS, Les origines, L'architecture, 
5 La norme » (2*™ Edition, Dunod, 2002). Le contexte PDP regroupe Tensemble 
des informations permettant la transmission des donn§es usager entre le 
mobile, le reseau UMTS et le reseau de commutation de paquets externe (par 
exemple Internet). 

Avant d'initier tout transfert de donnees, la station mobile 21 doit 
10 n6cessairement demander au cceur de reseau 23 I'activation d'un contexte 
PDP, qui devra verifier la conformite des attributs du contexte demande par 
rapport aux caracteristiques de I'abonnement souscrit par I'usager. 

Plusieurs contextes PDP peuvent etre actifs simultanement pour un 
usager donne. L'usager peut en effet vouloir activer plusieurs sessions en 

15 paraliele, par exemple pour relever simultanement deux boTtes aux lettres 
electroniques detenues par deux foumisseurs de services differents. Dans ce 
cas, le mobile doit activer autant de contextes PDP que de sessions. Grace a 
cette fonctionnalite, un utilisateur peut en theorie a la fois naviguer sur Nntemet 
en utilisant le protocole WAP (« Wireless Application Protocol ») sur son 

20 telephone portable GPRS et consulter un site Web sur son ordinateur connecte 
3 son telephone portable, via I'activation de deux contextes PDP. 

Deux contextes de session de communication 26, 27 ont ete activ6s au 
sein de la station mobile 21. Dans I'exemple illustr6 par les dessins, il s'agit de 
deux contextes PDP actifs. Chaque contexte PDP est relatif au reseau avec 
25 lequel on souhaite initier une session de communication, et la station mobile 21 
a une session de communication active avec le r£seau intranet 24, et deux 
sessions de communication actives avec le reseau public Internet 25. 

La procedure d'activation d'un contexte PDP par une station mobile est 
decrite en details au paragraphe 9.2.2.1 de la specification 3GPP TS 23.060. 

30 Pour initier cette procedure, la station mobile envoie un message 
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d'activation ACTIVATE PDP CONTEXT REQUEST au SGSN. Ce message 
indique les valeurs des differents param&tres du contexte PDP dont on requiert 
I'etablissement, dont les principaux sont : 

- I'adresse PDP de la station mobile 21. Dans le cas d'un r6seau exteme 
5 Internet, il s'agit d'une adresse IP v4 ou IP v6. Pour chaque contexte 

PDP 26, 27 en cours, la station mobile se voit done attribuer une adresse 
IP temporaire ; 

- la quality de sen/ice associee £ la communication, qui est representee 
par les attributs du lien radio alloue par le reseau d'acces 22 ; 

10 - I'APN (« Access Point Name), qui correspond a Tidentifiant du r6seatf fixe 
24, 25 auquel le mobile souhaite acceder. 

Comme indique precedemment, plusieurs contextes PDP peuvent etre 
actifs simultanement, de sorte qu'une station mobile pourra simultanement 
avoir plusieurs adresses PDP - typiquement plusieurs adresses IP source - 
15 distinctes. L'invention permet alors par exemple la mise en oeuvre d'une 
fonction de security qui opere de fagon independante sur chacun des flux 
echang6s avec ces adresses IP source multiples. 

Selon Tinvention, I'activation de chaque contexte de session de 
communication 26, 27 - dans I'exemple illustre chaque contexte PDP - donne 

20 lieu a la creation d'une tache logicielle de securite 28, 29 qui fournit les 
fonctions d'un pare-feu telles que precedemment d6crites, et opere dans le 
cadre des echanges effectu6s selon le contexte 26, 27 auquel elle est 
assoctee. Chaque tache logicielle de s6curit6 28, 29 est en effet susceptible 
d'effectuer une operation sur les flux de donn6es 6changees dans le cadre 

25 d'une session de communication definie dans le contexte 26, 27 
correspondent. Par exemple, des parametres de filtrage en fonction des 
adresses IP et/ou des ports TCP ou UDP des datagrammes re$us ou envoyes 
differeront selon qu'il s'agit du contexte 26 de communication avec le reseau 
Intranet 24, ou du contexte 27 de communication avec le reseau Internet 25. 

30 On pourra notamment souhaiter de param6trer la tache logicielle de securite 28 
de maniere a fournir une securite accrue pour Tacc6s a llnternet public - ce qui 
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se traduira par des parametres de filtrage actif plus restrictifs — par rapport au 
param6trage de la tache logicielle de s6curite 29 pour I'acces a Plntranet, de 
maniere a ne pas g§ner §ventuellement I'execution des applications propres a 
ce r6seau priv6 qui offre par nature une meilleure s§curite. 

5 Par exemple, une entreprise pourra toterer que globalement ses 

employ6s « naviguent » sur le r6seau public internet par I'intermgdiaire de leurs 
mobiles de fonction et done autoriser les transactions entrantes et sortantes sur 
le port 80 traditionnellement reserve aux echanges selon le protocole HTTP 
(« HyperText Transfer protocol »). Elle pourra explicitement interdire I'acces a 

10 Certains sites contraires & son 6thique par I'intermSdiaire de regies de s6curite 
si elle le souhaite. Elle pourra par ailleurs, en contrdlant le port 25 dedie au 
protocole SMTP (« Simple Mail Transfer protocol ») pour les deux f sessions de 
communications, autoriser renvoi et la reception de courriels vers ou en 
provenance de Tlntranet et refuser renvoi et/ou la reception de courriels vers 

15 ou en provenance de internet. 

Chaque tache logicielle de securite 28, 29, est done propre a controler 
et notamment limiter les flux de donnees echanges par la station mobile 21 
relativement a Tun quelconque des parametres attaches au contexte 26, 27 
auquel elle est associee, et notamment un des parametres constitutif dudit 

20 contexte 26, 27, comme par exemple pour le cas d'un contexte PDP 
represents sur la figure 2, Tadresse (PDP) de la station mobile 21 , la qualite de 
serv j ce assoctee a la communication, ou I'APN. Le controle des flux peut aussi 
s'effectuer ^ r§chelle plus globale du contexte 26, 27 en lui-meme, par 
exemple par le biais d'un identifiant de contexte 26, 27. Cela permet d'exercer 

25 un controle sur I'ensemble des flux echanges dans le cadre d'une session 
organisee selon un contexte 26, 27 sur la base de son identifiant, a Tinverse 
des flux §chang6s dans le cadre d'une session organis6e selon un autre 
contexte 26, 27 pour lequel on choisira de ne pas effectuer de controle. 

Deux taches logicielles applicatives 30, 31 - Tune traitant du transfert 
30 de fichiers selon le protocole FTP, et Tautre traitant de la consultation de pages 
web - 6changent des donn§es - dont le chemin logique est represents en 
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pointilles sur la figure - avec des entit6s correspondantes dans les rgseaux 
fixes 24, 25 par le biais des contextes 26, 27 actifs. 

^organisation des fonctions remplies par les taches logicielles de 
s6curit§ 28, 29 utilises dans la station mobile 21 peut correspondre & la 

5 structure des pare-feux d§crite pr§c6demment et Hlustr6e & la figure 1 . On peut 
aussi envisager dans le cadre de linvention une organisation plus legdre, c'est- 
a-dire n'incorporant que des filtres, voire meme un seul filtre. La fonction de 
security peut en outre etre alors configuree de sorte que chaque filtre op£re de 
maniere unidirectionnelle, ou bidirectionnelle. L'invention n'est en effet pas 

10 lim'rtee & une organisation specifique de la fonction de security 

La figure 3 illustre un exemple d'architecture d'un module selon 
invention. Le module 28 de s6curit6 comprend un module 6 de configuration 
relie a une m6moire 47 pour memoriser les parametres de securite associes a 
differents contextes PDP. Le module 28 fournit une fonction de sScurite activ6e 
15 par le biais de T instantiation d'une tache logicielle offrant les fonctions de 
filtrage 1, 2 et de contr6le 3 precedemment d§crites sous le controle d'un 
organe 48, typiquement constitue par un processeur. 

Le contrdleur 48 pilote d'autre part un ensemble 46 de contextes PDP. 
II proc&de a I'activation d'un contexte, a la gestion des contextes actifs, et £ 

20 leur fermeture le cas ech§ant. L'ensemble 46 consiste par exemple en une 
memoire dans laquelle sont conserves les differents parametres de chaque 
contexte PDP propre a Tusager utilisant le module selon invention. Selon 
invention, lors de I'activation d'un contexte PDP, le contrdleur 48 pilote en 
outre le module 28 afin de cr§er une instance de tache logicielle de securite 

25 operant selon les parametres associes au contexte dont on a requis 
I'activation. Les valeurs de ces parametres sont configurees au pr6alable et 
consignees dans la m6moire 47. La tache logicielle de s6curit6 ainsi cr6ee est 
supprimee lors de la fermeture du contexte PDP dont I'activation a donn6 lieu a 
sa creation. 

30 Dans un mode supp!6mentaire de realisation de l'invention, le module 

6 de configuration du pare-feu peut etre agence de maniere a ce que 
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I'ensemble ou une portion des param&res consign6s dans la m6moire 47 
soient accessibles en configuration d Tusager. Pour ce faire, le module 6 
coopere avec Tapplication interface homme-machine du terminal de Tusager 
par le biais du controleur 48. Avantageusement, on pourra pr6voir d'offrir cette 
5 option de configuration a Tusager sur une interface graphique (GUI) 
(« Graphical User Interface »). 

L'usager peut ainsi configurer les parametres de Tinstance de t3che 
logicielle de securite qui sera cre6e suite a Tactivation d'un contexte PDP 
donne. On peut aussi envisager la possibilite de definir des jeux de parametres 
10 de tache logicielle de securite associes avec un type de reseau (Reseau public, 
reseau prive par exemple) avec lequel Tusager est susceptible d'echanger des 
donnees. 

Uinvention prevoit done la possibilite de definir des jeux de parametres, 
memorises en m§moire 47, par le biais d'une interface graphique (GUI). Par 

15 definition d'un jeu de parametres disponibles en configuration pour la tache 
logicielle de s6curite, on entend la possibilite pour Tusager de sSlectionner le 
ou les paramdtres qu'il souhaite configurer, et d'attribuer les valeurs souhaitees 
aux parametres choisis. Une interface graphique lui permettra aisement de 
cr6er, de modifier ou de supprimer des profils de s6curite associ§s ^ des 

20 contextes de session de communication. 

Dans un autre mode de realisation, Tinvention est mise en ceuvre au 
sein d'un equipement d'infrastructure d'un reseau de radiocommunication. 
L'invention permet alors par exemple d'effectuer un filtrage des flux echanges 
par contexte de session de communication relativement aux attributs de 

25 Tusager de souscription. Cela se traduit, pour un op£rateur, par la possibilite de 
mettre en ceuvre par exemple un filtre a courrier electronique commercial non 
sollicite (en anglais « spam ») ou un filtre a vims pour ses usagers privilegies, 
sans necessairement offrir ce service aux autres usagers. Dans le cadre des 
r6seaux de radiocommunication GPRS ou UMTS, les contextes de session de 

30 communication sont des contextes PDP. Dans Texemple repr§sente sur la 
figure 2, Infrastructure de reseau de radiocommunication comprend le reseau 
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d'acces radio 22 et le coeur de r6seau 23. La mise en oeuvre de Tinvention au 
sein d'un commutateur GGSN du coeur de r6seau, par exemple, se r6vSIe 
particulierement avantageuse. D'une part, parce qu'un GGSN (de meme qu'un 
SGSN) a la connaissance de contextes PDP actifs. II conserve en effet une 

5 table de contextes PDP, utilis6e notamment dans la gestion de la facturation. 
On pourra, pour plus de details, se reporter £ la description des procedures 
d'activation, de modification et de d6sactivation des contextes PDP aux 
paragraphes 9.2.2, 9.2.3 et 9.2.4 de la specification 3GPP TS 23.060, version 
5.6.0. On peut done adjoindre & un GGSN un module de communication selon 

10 Tinvention. D'autre part, parce que le GGSN, servant de passerelle en bordure 
du coeur de reseau, est un point d'ancrage des communications vu du PLMN. II 
n'y a pas de transfert de GGSN au cours d'une session de communication, de 
sorte qu'il s'av^re plus efficace d'exercer le controle des flux de donnees selon 
Tinvention a partir de ce noeud du coeur de reseau. 

15 II est entendu que le module selon Tinvention, dans ses differents 

modes de realisation, peut etre impl6ment6 de differentes manieres, comme 
par exemple sur une carte electronique destin§e ^ etre embarquee dans un 
equipement terminal de radiocommunication ou un equipement d'infrastructure 
de radiocommunication, ou bien sur une produit semi-conducteur, comme un 

20 ASIC (« Application Specific Integration Circuit »), sans enlever de generality ^ 
Tinvention. 
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REVEND1C ATIONS 

1. Module de communication comprenant des moyens pour ^changer 

des flux de donn6es avec un reseau de communication dans le cadre de 
sessions de communication etablies et organises selon des contextes (26, 27) 
5 de session de communication, et des moyens (28, 29) de s6curit6 pour 
contrdler les flux de donnees echanges, caracterise en ce que lesdits moyens 
(28, 29) de s6curite pour controler les flux de donn6es §chang6s sont agenc6s 
pour op6rer relativement d au moins un parametre attach^ au contexte (26, 27) 
de session de communication de la session correspondante. 

10 2. Module selon la revendication 1, dans lequel les moyens (28, 29) de 

securite pour controler les flux de donnees echanges sont agences pour operer 
relativement & un identifiant du contexte (26, 27) de session de communication 
de la session correspondante. 

3. Module selon la revendication 1 , dans lequel les moyens (28, 29) de 
15 securite pour controler les flux de donnees echanges sont agences pour operer 

relativement & au moins un parametre constitutif du contexte (26, 27) de 
session de communication de la session correspondante. 

4. Module selon la revendication 3, dans lequel ledit parametre est une 
adresse du module ou d'un gquipement au sein duquel il est incorpor£, une 

20 qualite de service associee a I'gchange de flux de donnees, ou bien Tidentifiant 
d'un reseau cible. 

5. Module selon Tune quelconque des revendications precedentes, 
dans lequel les moyens pour echanger des flux de donnees comprennent des 
moyens pour 6changer des flux de donnees en paquets, et les moyens de 

25 securite pour controler les flux de donn6es sont agences pour op6rer sur des 
donn§es en paquets. 
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6. Module selon Tune quelconque des revendications pr6cedentes, 

dans lequel les moyens (28, 29) de securite pour controler les flux de donnees 
echang6s comprennent un filtre (1, 2) pour operer par filtrage des flux de 
donnees. 

5 7. Module selon Tune quelconque des revendications pr6cedentes, 

dans lequel les moyens (28, 29) de securit6 pour contrfller les flux de donnees 
echang§s comprennent un premier et un second filtres (1 t 2) pour op6rer par 
filtrage des flux de donnees echang6s, et une ou plusieurs passerelles (3) pour 
controler les flux de donn6es 6changees relativement & un ou plusieurs criteres 
10 relatifs a une application donnee, et dans lequel Tun au moins des premier et 
second filtres est agence pour op6rer relativement & au moins un paramfetre 
attach6 au contexte de session de communication de la session 
correspondante. 

8. Module de radiocommunication comprenant un module de 
15 communication selon Tune quelconque des revendications precedentes. 

9. Station mobile (21) apte a echanger des donnees avec un r6seau de 
radiocommunication (22, 23), comprenant un module de radiocommunication 
selon la revendication 8. 

10. Equipement d'inf restructure d'un reseau de radiocommunication 
20 comprenant un module de communication selon Tune quelconque des 

revendications 1 a 7. 

11. Proc6de pour effectuer un controle de s6curite des flux de donnees 
echanges entre un module de communication et un reseau de communication 
dans des sessions de communication organises selon des contextes de 

25 session de communication, dans lequel 

- on 6tablit une session de communication avec un correspondant distant, 
suivant un contexte de session de communication actif, et 
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- on controle, k I'int6rieur de ia session 6tablie, les flux de donn§es 
echangees selon le contexte de session de communication actif, 
relativement a au moins un parametre attache audit contexte. 

12. Proc6de selon la revendication 11, dans lequel on contrSle les flux 
5 de donn§es 6chang§es selon le contexte de session de communication actif, 

relativement & un identifiant dudit contexte actif. 

13. Proc6de selon la revendication 11, dans lequel on controle les flux 
de donn§es 6chang6es selon le contexte de session de communication actif, 
relativement a au moins un parametre constitutif dudit contexte (26, 27) actif. 

10 14. Procede selon la revendication 13, dans lequel ledit parametre est 

une adresse du module, une quality de service associee a I'echange de flux de 
donnees, ou bien I'identifiant d'un r6seau cible. 

15. Procede selon Tune quelconque des revendications 11 a 14, dans 
lequel on controle des flux de donnees en paquets, echangees selon le 

15 contexte de session de communication actif, relativement & au moins un 
parametre attache au contexte de session de communication de la session 
correspondante. 

16. Proc6d§ selon Tune quelconque des revendications 11 a 15, dans 
lequel on controle les flux de donn6es echangees selon le contexte de session 

20 de communication actif en filtrant lesdits flux de donn6es au moyen d'un filtre 
qui op&re relativement a au moins un parametre attache au contexte de 
session de communication de la session correspondante. 

17. Procede selon Tune quelconque des revendications 11 a 15, dans 
lequel on controle les flux de donn6es 6chang6es selon le contexte de session 

25 de communication actif en filtrant lesdits flux de donn6es au moyen d'un 
premier et d'un second filtres pour filtrer les flux de donn6es 6chang6s, et 
d'une ou plusieurs passerelles pour contrdler les flux de donnees echangees 
relativement d un ou plusieurs criteres relatifs d une application donnee, Tun au 



WO 2005/048555 



-18- 



PCT/EP2004/012532 



moins des premier et second filtres 6tant agenc6 pour op6rer relativement £ au 
moins un parametre attach^ au contexte de session de communication de la 
session correspondante. 

18. Programme d'ordinateur, chargeable dans une m6moire associee a 
5 un processeur, et comprenant des instructions pour la mise en ceuvre d'un 

proced6 selon Tune quelconque des revendications 11 & 17 lors de I'exgcution 
dudit programme par le processeur. 

19. Support informatique sur lequel est enregistr6 un programme selon 
la revendication 18. 
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